isMalicious vs OpenCTI : pourquoi c'est la mauvaise comparaison (et comment ils fonctionnent ensemble)

L'intérêt de recherche pour « alternative OpenCTI » progresse, et une part significative est mal orientée — comme c'est souvent le cas pour « alternative MISP ». OpenCTI est une plateforme de renseignement sur les menaces. isMalicious est un fournisseur de données de menaces. Les opposer revient à comparer un système de gestion de dossiers au flux qui le peuple.

Cette confusion se comprend. Les deux apparaissent dans les mêmes schémas d'architecture, les deux portent l'étiquette « threat intelligence », et les deux figurent dans des appels d'offres sous la même catégorie. Il vaut donc la peine d'être précis sur le rôle de chacun, sur l'endroit où passe la frontière, et sur ce que demandent réellement les équipes qui arrivent sur cette comparaison.

À quoi sert OpenCTI

OpenCTI (Open Cyber Threat Intelligence) est un TIP moderne construit autour d'un graphe de connaissances natif STIX. Ses atouts sont structurels plutôt que générateurs de données :

• Un modèle d'objets STIX 2.1 avec relations, observations et traversée de graphe supportant des investigations complexes.
• La gestion de dossiers et des workflows pour des analystes traitant des incidents aux côtés du renseignement qu'ils collectent.
• Un écosystème de connecteurs pour ingérer depuis MISP, des flux commerciaux, des sandboxes et des services d'enrichissement.
• Un contrôle d'accès et un partage pour les équipes qui doivent distribuer du renseignement sensible de manière contrôlée.
• Des tableaux de bord et visualisations sur le graphe de connaissances, incluant le mapping MITRE ATT&CK et des vues chronologiques.
• Un déploiement auto-hébergé ou cloud, conservant la souveraineté des données sous votre contrôle.

Si votre besoin est un hub central où les analystes stockent, corrèlent et partagent du renseignement — avec un graphe reliant campagnes, indicateurs et acteurs — OpenCTI est une réponse solide.

Ce qu'OpenCTI ne fait pas

Le manque relève du périmètre, pas de la qualité :

• Il ne génère pas de renseignement. Une instance OpenCTI neuve est vide jusqu'à ce que les connecteurs la peuplent.
• Aucun moteur d'agrégation multi-sources. Chaque flux arrive séparément ; réconcilier des verdicts qui se recouvrent relève de votre équipe, sauf si un flux le fait en amont.
• Aucun scoring de confiance natif inter-sources. Vous pouvez consigner la confiance dans les objets STIX, mais la plateforme ne calcule pas de score inter-sources pour vous.
• Aucun produit CVE natif, suivi ransomware ou surveillance dark web. Ces éléments n'apparaissent que si un fournisseur branché les fournit.
• Une charge opérationnelle. Infrastructure, mises à niveau, maintenance des connecteurs, décisions de taxonomie et nettoyage des objets obsolètes constituent un travail continu.
• Pas un point d'application. OpenCTI distribue du renseignement ; il ne remplace pas une liste de blocage sur votre pare-feu sauf si vous exportez vers une.

C'est sur ce dernier point que la recherche « alternative » prend souvent naissance. Les équipes déploient OpenCTI en espérant résoudre le problème de données, découvrent que la curation est la partie difficile, et cherchent quelque chose qui agrège et score déjà les indicateurs.

Ce que fournit isMalicious à la place

isMalicious se situe du côté de l'offre, sur cette frontière :

• Une agrégation multi-sources avec scoring de confiance, de sorte que la réconciliation a lieu avant que les données n'atteignent votre plateforme.
• Une API REST d'enrichissement pour les IP, domaines et URL — un appel renvoie réputation, WHOIS, DNS et contexte d'hébergement.
• Un renseignement CVE avec les statuts CVSS, EPSS et KEV comme données produit structurées.
• Le suivi des groupes de ransomware et des signaux d'exposition sur le dark web.
• Des collections STIX/TAXII pour l'ingestion et des exports de listes de blocage pour l'application directe.
• Un service géré avec une offre gratuite et une tarification transparente — aucune instance à corriger, aucun catalogue de flux à curer depuis zéro.

Ce qu'isMalicious ne fournit pas, c'est un TIP : pas de graphe de connaissances, pas de gestion de dossiers, pas d'éditeur de relations STIX, pas de tableau de bord analyste pour la traversée de graphe. Si c'est ce dont vous avez besoin, il vous faut OpenCTI — ou MISP — et non un fournisseur de données se faisant passer pour une plateforme.

L'architecture réellement déployée

En pratique, les deux se composent proprement :

1. isMalicious est en amont. Des collections STIX/TAXII ou le connecteur OpenCTI poussent des indicateurs agrégés et scorés dans la plateforme selon un calendrier.
2. OpenCTI est le hub. Les analystes enquêtent, attachent du contexte, lient des observations à des dossiers et contrôlent ce qui est partagé en interne.
3. Enrichissement à la demande. Quand un analyste ouvre un indicateur, une recherche API depuis isMalicious attache la réputation actuelle et le contexte d'enregistrement à ce qu'OpenCTI stocke déjà.
4. Application en aval. Les listes de blocage exportent depuis OpenCTI après vos règles de curation, ou directement depuis isMalicious lorsque vous souhaitez que le scoring éditeur gouverne les contrôles pare-feu et DNS.

Résultat : OpenCTI gère la collaboration et la mémoire institutionnelle ; isMalicious gère l'étendue, la fraîcheur et la charge d'agrégation.

Comparaison des fonctionnalités

| Capacité | OpenCTI | isMalicious | | :--- | :--- | :--- | | Plateforme CTI (TIP) | Oui | Non | | Graphe de connaissances STIX | Oui | Non | | Gestion de dossiers / workflows | Oui | Non | | Déploiement auto-hébergé | Oui | Non (service géré) | | Agrégation multi-sources | Non (via flux) | Oui | | Moteur de scoring de confiance | Non | Oui | | API REST d'enrichissement | Via connecteurs | Oui | | Export STIX/TAXII | Oui | Oui | | Connecteur natif OpenCTI | N/A | Oui | | Renseignement CVE (CVSS, EPSS, KEV) | Via flux | Oui | | Suivi des groupes de ransomware | Via flux | Oui | | Export de listes de blocage | Via connecteurs d'export | Oui | | Offre gratuite disponible | Oui (plateforme libre) | Oui (données gérées) |

Ce que demandent réellement les équipes

Trois questions se cachent derrière « alternative OpenCTI ».

« Nous exploitons OpenCTI et la qualité des données est faible. » Vous avez besoin de meilleurs flux, pas d'une autre plateforme. Ajouter une source agrégée et scorée via STIX/TAXII ou le connecteur est la correction.

« On nous a demandé de déployer un TIP et c'est beaucoup de travail. » Faire tourner OpenCTI représente un engagement opérationnel réel. Si votre besoin est d'enrichir des alertes dans un SIEM, une API seule peut suffire. Ajoutez le TIP quand la collaboration basée sur le graphe devient l'exigence.

« Il nous faut une plateforme, pas seulement un flux. » Alors comparez OpenCTI à MISP — ce sont deux plateformes. isMalicious est un flux pour l'une comme pour l'autre, et la page de comparaison honnête plateforme-contre-plateforme se trouve sur /vs/opencti avec ce cadrage explicite.

Pour commencer

Si OpenCTI tourne déjà, l'amélioration la plus rapide passe généralement par une meilleure source amont : consultez le face-à-face sur la page de comparaison OpenCTI, puis examinez les collections STIX/TAXII et l'intégration OpenCTI pour le chemin d'ingestion.

Si OpenCTI ne tourne pas et que vous pesez l'intérêt de le monter, essayez d'abord la couche de données. Passez des indicateurs par les recherches IP et domaine, branchez l'API sur votre SIEM, et mesurez la part du besoin que cela couvre avant de vous engager dans l'exploitation d'une plateforme.